Sophos Email Message History: tracciare i messaggi e risolvere i problemi
Message History è la prima catena di prove per capire che cosa Sophos Email ha fatto con un messaggio. Separa i messaggi elaborati dalle connessioni rifiutate perché la casella non è stata trovata. Un risultato da solo non prova la consegna finale: ultimo evento del destinatario, traccia del provider esterno e casella di destinazione devono coincidere.
Questo runbook riguarda la diagnostica interattiva in Sophos Central. I report sulle tendenze sono un processo separato; la correzione automatica post-consegna e le azioni programmatiche via API non rientrano nel flusso.
Preparare richiesta, accesso e dati di ricerca
Usare un account amministratore nominativo nel tenant corretto. Verificare che il ruolo possa leggere Message History ed eseguire soltanto le azioni autorizzate. Annotare intervallo e fuso orario, mittente e destinatario SMTP, oggetto, Internet Message-ID o ID Sophos noto, direzione e percorso previsto Gateway o Mailflow.
Conservare anche il bounce o la risposta SMTP completa e, se disponibile, la traccia del provider. I campi di ricerca usano gli indirizzi della busta SMTP, che possono differire dagli header visibili From e To. Una riga può contenere esiti diversi per destinatari diversi.
Selezionare report e intervallo corretti
- In Sophos Central aprire Reports > Email Security Logs > Message History.
- Scegliere Processed report per messaggi accettati ed elaborati da Sophos; Rejected report per connessioni rifiutate perché non è stata trovata una casella.
- Per domini misti, usare Type e scegliere Gateway, Mailflow o tutti.
- Impostare l’intervallo e selezionare Refresh.
Per impostazione predefinita compare il giorno corrente. La cronologia selezionabile arriva a un massimo di 30 giorni, oppure un massimo di 90 giorni con licenza Sophos Email Plus. L’esportazione non estende il periodo. Per casi più vecchi usare il provider esterno, i bounce o report già conservati.
In modalità Sophos EMS, Sophos analizza copie journal e non intercetta il messaggio originale. Gli stati mostrati servono al reporting e non rappresentano in modo affidabile la consegna effettiva dell’originale.
Cercare con precisione i messaggi elaborati
In Processed report, partire da intervallo e direzione, quindi restringere con Category, Status, TLS encryption e Type. Advanced Search offre From, To, Subject, Message size, Attachment e DSN code. Le stringhe parziali non distinguono maiuscole, più criteri sono combinati con AND e i caratteri speciali, di controllo e formattazione vengono ignorati. Dopo le modifiche selezionare Refresh.
Message size è la dimensione MIME e può superare sensibilmente quella del file grezzo. Per DSN code, usare il codice completo oppure 2.. per successo, 4.. per errore temporaneo e 5.. per errore permanente.
Confrontare Direction, Sender, Recipients, Type, Subject, Last Status, Date e Category. Processing e Queued for Delivery non sono esiti finali. Delivery Successful indica che Sophos ha passato correttamente il messaggio alla consegna; la conferma finale viene dalla traccia del provider ricevente. Per Delivery Failed, TLS Delivery Failed, Bounced, Failed to return to M365 e Clawback Failed, esaminare gli eventi del destinatario.
Interpretare dettagli ed eventi per destinatario
Selezionare l’oggetto per aprire Message Details. In Details verificare SMTP From, SMTP Recipients, Header From, Header Recipients, Category, Sub Category e IP Address. Espandere ogni destinatario coinvolto e leggere in ordine Date, Status, Reason e Additional Details.
Passando sui tre punti compaiono dati SMTP aggiuntivi, fra cui uso e versione TLS, cifratura e hostname del server. Valutare lo stato finale per ogni destinatario: il successo di uno non esclude il fallimento di un altro. Correlare ora, destinatario e risposta SMTP con Microsoft Message Trace, Google Email Log Search o la traccia del sistema di destinazione.
La categoria descrive la classificazione, non sempre la causa dell’interruzione. Per Authentication failure, esaminare SPF, DKIM, DMARC, Header anomaly o Domain anomaly. Confrontare Spam, Malware, Intelix threat, URL/QR Code, Impersonation, Data control, Secure message e Legitimate con Sub Category, policy effettiva e motivo. Realtime blocked, Admin blocked e User blocked richiedono la verifica della corrispondente fonte di blocco.
Esaminare header, allegati e URL
In Raw Header, Copy raw headers conserva tutti gli header, Search keyword cerca nomi o valori e l’ordinamento aiuta a seguire il percorso. AI Analysis analizza solo gli header, non contenuto o allegati. Il riepilogo di SPF, DKIM, DMARC, allineamento, firme mancanti, spoofing o inoltro è un’indicazione; header grezzi e dati DNS o del provider restano la prova.
Attachments mostra Name, Size basata su MIME ed eventualmente File group. File group compare solo se una policy Data Control ha valutato l’allegato. L’assenza non dimostra un tipo ignoto o un errore di scansione. Non aprire allegati su normali postazioni amministrative.
URLs elenca i link rilevati o mostra No URLs. Export salva la lista in CSV o PDF. È materiale d’indagine, non un invito a fare clic. Per messaggi spam idonei possono comparire Report threat o Report clean; la segnalazione migliora la classificazione ma non corregge subito la consegna.
Analizzare rifiuti e risposte SMTP
Rejected report, detto anche registro dei rifiuti, contiene messaggi rifiutati perché non è stata trovata la casella e motivi registrati come Mailbox not found, TLS failure, Version mismatched o Unencrypted. Filtrare con Rejection Reason o usare Advanced Search con From, To e Sender Ip, quindi Refresh.
Limite rigoroso: Sophos non mette in quarantena né conserva un messaggio rifiutato. Pertanto non può essere rilasciato né reinviato. Dopo aver corretto destinatario, TLS o routing, il mittente deve inviare un nuovo messaggio. Se Sophos rileva più di 1.000 messaggi da un IP in cinque minuti, sospende temporaneamente il logging per quell’IP, genera un avviso e riprende dopo cinque minuti. Un vuoto può dipendere dal throttling e non prova l’assenza di tentativi.
Per un errore temporaneo 4xx, Sophos applica esattamente questa cadenza: primo tentativo immediato, secondo anch’esso immediato, quindi dopo 5, 10 e 15 minuti. In seguito ritenta ogni 30 minuti per un’ora e poi ogni ora. Dopo 24 ore interrompe i tentativi e invia un bounce. Un errore fatale 5xx non viene ritentato.
Il codice Sophos esatto determina la correzione:
| Codice | Causa specifica | Correzione pratica |
|---|---|---|
| XGEMAIL_0001 | Il messaggio non contiene una firma DKIM valida. | Correggere firma, selettore e chiave DKIM pubblicata; verificare firma e allineamento prima di reinviare. |
| XGEMAIL_0002 | Il messaggio non supera SPF. | Autorizzare l’IP mittente reale nell’SPF del dominio envelope e correggere sintassi o lookup. |
| XGEMAIL_0003 | Il messaggio non supera DMARC. | Rendere SPF o DKIM valido e allineato al dominio From visibile; correggere DMARC del mittente. |
| XGEMAIL_0004 | L’IP mittente non supera un controllo RBL. | Verificare abuso o compromissione, arrestarne la causa, poi chiedere il delisting o usare un relay pulito autorizzato. |
| XGEMAIL_0005 | Il dominio mittente non supera un controllo DBL. | Verificare dominio e URL per compromissione o reputazione, correggere e chiedere il delisting. |
| XGEMAIL_0006 | La versione TLS non coincide con la policy configurata. | Configurare server e policy con una versione TLS consentita comune; non disattivare il TLS obbligatorio per aggirare il rifiuto. |
| XGEMAIL_0007 | La licenza Sophos Email è scaduta. | Rinnovare o riattivare la licenza del tenant corretto e confermare la protezione attiva. |
| XGEMAIL_0008 | Dominio, IP o indirizzo è nella block list amministratore. | Verificare la corrispondenza e, se autorizzati, rimuovere o restringere la voce amministratore. |
| XGEMAIL_0009 | Dominio, IP o indirizzo è nella block list utente. | Far verificare e rimuovere o restringere la voce utente corrispondente dal destinatario. |
| XGEMAIL_0010 | Il dominio destinatario non è protetto da Sophos Email. | Correggere l’indirizzo oppure aggiungere e verificare dominio e routing nel tenant previsto. |
| XGEMAIL_0011 | L’indirizzo destinatario non esiste nel dominio protetto. | Correggerlo o creare/sincronizzare casella o utente e confermare la validazione. |
| XGEMAIL_0012 | Il messaggio supera la dimensione consentita. | Ridurre dimensione MIME o allegati, o usare una condivisione approvata, e reinviare. |
| XGEMAIL_0013 | Un messaggio grande supera il numero massimo di destinatari. | Ridurre o dividere la lista e reinviare in gruppi più piccoli. |
| XGEMAIL_0014 | Un mittente supera il rate limit in entrata del destinatario. | Arrestare il picco, attendere la fine della finestra e riprendere a velocità inferiore. |
| XGEMAIL_0015 | Tutti i mittenti superano insieme il rate limit totale del destinatario. | Indagare picco o flood, attendere la scadenza del limite e ridurre il volume aggregato. |
Salvare, pianificare ed esportare i report
Dopo avere applicato e verificato i filtri, scegliere Save as Custom Report. Per Processed report salva in Reports un report personalizzato dal template Message History; per Rejected report usa Email Rejection Report. Aprire lì il report salvato per configurare pianificazione e destinatari.
Per una prova filtrata dei rifiuti, impostare fino a 30 giorni, o 90 con Sophos Email Plus, applicare Rejection Reason ed eventuali criteri Advanced Search, scegliere Refresh e verificare. Quindi scegliere Export as CSV. Il CSV include tutti i filtri attivi all’esportazione; registrare anche intervallo e fuso orario.
Scegliere una correzione idonea e verificarla
Redeliver email è disponibile solo con Sophos Email Plus per messaggi in entrata accettati correttamente da Sophos negli ultimi 90 giorni e nei soli stati Delivery Successful, Delivery Failed, Returned to M365, Failed to Return to M365, Clawback released o TLS Delivery failed. I rifiutati non sono mai idonei. Se l’originale era già consegnato, la nuova e-mail contiene l’originale come allegato: considerare i duplicati.
Usare Initiate clawback solo per messaggi in entrata consegnati correttamente a caselle di un dominio connesso a Post-Delivery Protection, con On demand clawback attivo. Seguire ogni destinatario in Additional Details fino a Clawback Successful o Clawback Failed, poi verificare la quarantena post-delivery. Il provider può richiedere fino a dieci minuti. Un messaggio o copia interna può essere richiamato una sola volta; dopo il rilascio dalla quarantena non può esserlo di nuovo.
Dopo la correzione ripetere la stessa ricerca e convalidare messaggio, destinatario e stato finale con traccia esterna e casella. La scomparsa di una riga non è prova di successo: intervallo, filtri o conservazione possono causarla.
Delimitare gli errori comuni ed eseguire l’escalation
- Nessun risultato: controllare tenant, report, limite 30/90 giorni, direzione, Type, indirizzo busta e Refresh; eliminare i criteri uno per volta.
- Policy in entrata apparentemente inefficace: confrontare evento e policy assegnata al destinatario, poi le voci utente e amministratore in Inbound Allow/Block. Non creare ampie eccezioni per diagnosticare.
- Consegna in coda: osservare la risposta 4xx e il prossimo tentativo. Con 5xx correggere destinatario, autenticazione, TLS, dimensione o limite e richiedere un nuovo invio.
- Delivery Successful senza ricezione: cercare ora e Message-ID nel provider e controllare quarantena, regole, inoltri e casella.
- Rifiuto UCEPROTECT: contattare destinatario o gestore che rifiuta e chiedere di non usare UCEPROTECT come RBL, DNSBL o controllo IP. Non pagare il delisting.
- Probabile classificazione errata: preferire Smart Banners, Message History o il componente aggiuntivo Sophos Outlook; se disponibile, usare Report threat o Report clean.
Per l’escalation raccogliere ID tenant, intervallo UTC, indirizzi SMTP e header, oggetto, Message-ID, direzione, Type, categoria e sottocategoria, eventi completi, codice SMTP/DSN, header grezzi, traccia provider, policy e screenshot. Per una policy apparentemente non applicata, aggiungere il messaggio consegnato in formato .eml se consentito dalla privacy e la cronologia del caso. Non inserire password, token o dati non necessari.